Migratioun vun engem PPP-baséierte VPN ouni seng Annahmen ze kopéieren

Eng VPN-Migratioun ass fäerdeg wann d’Benotzer, d’Ziler, d’Nimmopléisung an d’Verhalen bei Feeler nach ëmmer richteg sinn, net wann den neie Client eng gréng Ikon weist. Al PPP-baséiert Installatiounen droen Annahmen déi ni opgeschriwwe goufen: e gemeinsamen Geheimnis deen och déi eenzeg Identitéitskontroll war, en fixen Adresspool deen d’Firewall op der Erlaabnislëscht huet, an en DNS-Suffix deen de Server schéckt. De Protokoll ersetzen ouni dës Annahmen ze erfaassen gëtt en Tunnel deen den Handshake fäerdeg mécht an eng Grenz déi net existéiert. D’Reiefolleg hei drënner ass déi ech benotzen, an de leschte Schrëtt ass deen d’Equippen iwwersprangen.

Schrëtt 1: erfaasst wat déi al Verbindung ubitt

D’Inventar gëtt geschriwwen, net gemierkt. Notéiert déi ënnerstëtzt Clienten, d’Authentifikatiounsrollen, d’Adresspools, déi geschützt Netzwierker, d’DNS-Ufuerderungen an d’Serviceerlaabnisser déi all Benotzergrupp brauch.

Fir L2TP/IPsec, trennt déi zwou Schichten ausdrécklech. D’Identitéit vum IPsec-Peer authentifizéiert d’Maschinnen; PPP authentifizéiert de Benotzer, meeschtens mat CHAP oder MSCHAPv2.

An där Trennung verstoppen al Installatiounen hir Annahmen. E virgedeelte Schlëssel deen all Client deelt authentifizéiert eng Grupp an net en Apparat, an et ass dacks dat eenzegt wat jeemools rotéiert gouf. Wann de PPP-Konto déi richteg Kontroll pro Benotzer ass, sot et, well d’Ersetzung muss déi Kontroll mat eppes reproduzéieren wat keen gemeinsamen String ass. Notéiert och fix Quelladressen an Ausnamen fir dat lokalen Netz, well dat sinn d’Ofhängegkeeten déi keen dokumentéiert bis se briechen.

Schrëtt 2: design d’Ersetzung bewosst

D’Ersetzung auswielen ass eng Zouuerdnung Ufuerderung fir Ufuerderung: e Protokoll an en ënnerhalenen Client deen d’Organisatioun ënnerstëtzt, woubäi all Identitéits- an Accessufuerderung an engem richtege Mechanismus lant. E gemeinsamen Geheimnis ass net automatesch gläichwäerteg mat engem Schlëssel oder Zertifikat pro Apparat, an e PPP-Konto pro Benotzer ass net gläichwäerteg mat engem Apparatzertifikat.

Koordinéiert d’Adressberäicher virun allem aneren, well en Ersatzpool deen en Heem- oder Büro-LAN iwwerleet eng Feelfunktioun schaaft déi näischt mat der Chiffrestäerkt ze dinn huet. Kontrolléiert de Pool géint déiselwecht Lëscht déi Dir fir den ale Service gebaut hutt, plus wat den neie Client als Standard unhëlt. Bestätegt de Réckroutung fir déi geschützt Netzwierker a bestätegt datt den neie Client den DNS-Suffix kann schécken oder dokumentéieren deen den ale geschéckt huet. Déi zwou Punkte verursaachen méi Migratiounsticketten wéi de Protokollwiessel selwer.

Schrëtt 3: setzt et a Phasen ëm a verifizéiert souwuel Erlabnes wéi och Refus

Setzt mat engem representativen Benotzer an enger representativer Applikatioun ëm. Huelt d’privat DNS-Opléisung an den Test op, well en Tunnel deen eng Adress erreecht awer keen internen Numm opléise kann nëmmen hallef migréiert ass. Huelt och den erwaarten Netzverfügbarkeetszoustand op: wat soll geschéien wann den Tunnel fält, an ob den Client dat duerchsetzt.

Testt duerno en Zil dat refuséiert bleiwe soll. Eng breet temporär Erlaabnesregel kann den neien Tunnel gesond ausgesi loossen wärend se still d’Autorisatiounsgrenz ewech hëlt déi den ale Service duerchgesat huet, an et mierkt keen bis zu enger Auditte. Vergläicht Erlaabnes- an Refusresultater niewenteneen, vum selwechte Client, an der selwechter Sessioun. Halt den ale Service um Laf bis béid Sailen dem Design entspriechen.

Ier Dir den Administrateur zougang verréckelt, bestätegt datt Dir en autoriséierte Recuperatiounswee hutt deen net vum Tunnel ofhänkt deen Dir ännert.

Schrëtt 4: zitt d’al Identitéit aus dem Betrib

D’al Identitéit richteg aus dem Betrib ze zéien heescht veralt Benotzer an Apparatsdaten duerch de Service ze widerrufen deem se gehéieren, an duerno al Profiler an Nolauschterer ewechzehuelen wann keng Ofhängegkeet méi bleift. Eng lokal Datei läschen widerruft keng Kopie soss anzwousch, an en ale Nolauschterer deen nach ëmmer dat aalt gemeinsamt Geheimnis akzeptéiert ass eng Diere ouni Iwwerwaachung.

Deen Punkt verdéngt et sech ze bremsen. En ausser Betrib gesaten Clientprofil op engem Laptop ass keng widerrufen Zugangsdaten; d’Zugangsdaten liewen um Server a bleiwen gülteg bis de Server ophält se ze akzeptéieren. Sicht aner Kopië vun der aler Konfiguratioun — Testapparater, en vergiessen Telefon, en Installateur deen een opgehuewen huet — a behandelt d’Ausschaltunge vum Nolauschterer als de Moment wou den ale Service wierklech ophält. Bis dohinner huet d’Migratioun zwou viischt Dieren.

Den Acceptrecords ass den Inventar vum éischte Schrëtt mat enger bäigefügter Sail: wat den neien Design fir all Zeil mécht, an wéi Dir et verifizéiert hutt. Dat mécht aus engem Protokollupgrade eng Serviceufuerderung mat Beweiser.

Halt d’Resultat un dat gebonnen wat de Service brauch an net un den Numm vum Protokoll, well en moderne Protokoll mat den alen Annahmen derbäi kopéiert ass deeselwechte Risiko mat engem bessere Kader. RFC 3193 beschreift wéi L2TP iwwer IPsec gedroe gëtt, wat eng nëtzlech Erënnerung ass datt déi zwou Schichten ëmmer separat Entscheidunge waren. Wann den Inventar eng Zeil huet déi Dir net erkläre kënnt, stoppt a fënnt eraus wat dovun ofhänkt. D’Migratioun ass fäerdeg wann d’Lëscht langweileg ass.